Datenschutzerklärung

Stand: 17.10.2026

1. Verantwortlicher, Auftragsverarbeiter und Aufsichtsbehörde

Verantwortlich für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist die nachstehend genannte Stelle. Alle Angaben, auf die die folgenden Abschnitte verweisen, stehen gesammelt hier:

Verantwortlicher: Daniel David Ovadia — Nutyra (Einzelunternehmen)
Anschrift: Eugen-Richter-Str. 159, 76187 Karlsruhe, Deutschland
Kontakt für Datenschutzanfragen: info@nutyra.de — die Anfrage erreicht unmittelbar den Verantwortlichen.
Hosting und Datenbank: IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland — Serverstandort Deutschland
E-Mail-Versand (SMTP): IONOS SE (IONOS Mail, SMTP smtp.ionos.de), Elgendorfer Straße 57, 56410 Montabaur, Deutschland
KI-Verarbeitung: IONOS SE (IONOS AI Model Hub), Elgendorfer Straße 57, 56410 Montabaur, Deutschland — Rechenzentrum in Deutschland, eingesetztes Modell mistralai/Mistral-Small-24B-Instruct
Zuständige Aufsichtsbehörde: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart

2. Überblick: Wo welche Daten anfallen

Nutyra besteht aus drei Teilen, die datenschutzrechtlich sehr unterschiedlich zu betrachten sind:

Diese Website. Reine Informationsseite. Keine Cookies, kein Tracking, keine Anmeldung (Abschnitt 12).
Die App. Führt eine vollständige Datenbank auf deinem Gerät und gleicht sie mit unserem Server ab. Einige Funktionen (Schlaf-Auswertung, App-Sperre, die Erinnerungen außer der des GLP-1-Begleitmodus) bleiben ausschließlich auf dem Gerät (Abschnitte 8, 9 und 17).
Das Web-Dashboard. Zugriff auf dasselbe Konto im Browser. Es setzt technisch notwendige Cookies und legt einige Einstellungen lokal im Browser ab (Abschnitt 12).

Nutyra ist kein Medizinprodukt. Die App stellt keine Diagnose und bietet keine Therapie; sie protokolliert, was du einträgst, und wertet es beschreibend aus. Das gilt ausdrücklich auch für den GLP-1-Begleitmodus: Er protokolliert und erinnert, er bewertet weder Präparat noch Dosis noch Behandlungsverlauf. Dass wir viele deiner Angaben als Gesundheitsdaten behandeln (Abschnitt 3.2), beschreibt, wie schutzbedürftig sie sind — nicht, dass Nutyra einen medizinischen Zweck hätte.

3. Welche Daten wir verarbeiten

3.1 Konto- und Stammdaten

Bei der Registrierung verarbeiten wir deine E-Mail-Adresse, dein Passwort — ausschließlich als Hash, nie im Klartext — und dein Geburtsjahr. Zusätzlich halten wir mit Zeitpunkt fest, dass du den Nutzungsbedingungen zugestimmt und das Mindestalter angegeben hast, bei den Nutzungsbedingungen auch die Fassung, der du zugestimmt hast. Damit können wir belegen, welche Bedingungen für dein Konto gelten.

Wozu das Geburtsjahr: Nutyra ist erst ab 18 Jahren nutzbar (Nutzungsbedingungen, Abschnitt 2). Ergibt dein Geburtsjahr, dass du jünger bist, legt unser Server kein Konto an — dann speichern wir auch das Geburtsjahr nicht. Legt er eines an, bleibt das Geburtsjahr bei deinem Konto gespeichert. Die App nutzt es außerdem im Ziel-Setup, statt dort noch einmal nach deinem Alter zu fragen. Ein vollständiges Geburtsdatum fragen wir nicht ab. Das Geburtsjahr steht in deinem Datenexport und wird mit deinem Konto gelöscht. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags, dessen Voraussetzung das Mindestalter ist (Art. 6 Abs. 1 lit. b DSGVO).

Meldest du dich über Google oder Apple an, kommt eine Kennung des jeweiligen Anbieters hinzu (Abschnitt 15). Wenn dein Abo aktiv ist, speichern wir außerdem, bis wann es läuft (Abschnitt 10).

Geschlecht und Aktivitätslevel aus dem Ziel-Setup bleiben ausschließlich auf deinem Gerät; das Alter errechnet die App dort aus deinem Geburtsjahr. Deine Körpergröße speichern wir nicht — auch sie liegt nur auf deinem Gerät. Zu unserem Server gelangt sie nur, wenn die App sie mitschickt, und zwar in zwei Fällen: mit einer Nachricht an den Ernährungscoach (Abschnitt 6.2) und beim Anlegen oder Ändern eines Gewichtsziels, damit der Server prüfen kann, ob das Zielgewicht nicht zu niedrig ist. Dort wird sie nicht gespeichert. An unseren Server gespeichert gehen aus dem Ziel-Setup nur dein Gewicht und die daraus errechneten Ziele; beide sind Gesundheitsdaten nach Abschnitt 3.2.

3.2 Ernährungs-, Stimmungs- und Gewichtsdaten (Gesundheitsdaten)

Folgende Daten sind Gesundheitsdaten im Sinne von Art. 9 Abs. 1 DSGVO, und wir behandeln sie alle als solche:

Protokolleinträge zu Mahlzeiten und Nährwerten, samt Hunger vor und Sättigung nach dem Essen und deiner Notiz,
Stimmungseinträge mit Notiz,
Symptome mit Intensität,
Trinkmengen,
Tagebuch- und Dankbarkeitseinträge,
Gewichtswerte,
Fastenzeiten,
Achtsamkeits- und Atemübungen,
deine Ziele (Zielgewicht, Kalorien-, Eiweiß-, Ballaststoff-, Portions- und Wasserziele) und
die Angaben des optionalen GLP-1-Begleitmodus: selbst benanntes Präparat, eigener Erinnerungszeitpunkt (Rhythmus, Wochentag, Uhrzeit — siehe Abschnitt 9), eigenes Proteinziel.

Wir haben diese Einordnung bewusst weit gewählt. Man könnte argumentieren, ein Trinkprotokoll oder ein Tagebucheintrag sei kein Gesundheitsdatum. In einer Ernährungs-App trägt diese Begründung nicht weit — und die Folge einer zu engen Einordnung wäre, dass ein Teil deiner Einträge ohne die Ausnahme des Art. 9 Abs. 2 verarbeitet würde. Deshalb gilt für alle dasselbe.

Rechtsgrundlage ist ausschließlich deine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Wie sie erteilt und widerrufen wird und was ohne sie noch geht, steht in Abschnitt 4.

3.3 Katalog- und Planungsdaten

Eigene Lebensmittel, eigene Gerichte, Favoriten und dein Wochenplan gehören zu deinem Konto und werden mit ihm gelöscht. Wir behandeln sie nicht als Gesundheitsdaten: Sie sagen, was du anlegst oder planst, nicht was du tatsächlich gegessen hast. Deshalb bleiben sie auch ohne Einwilligung nutzbar — die Übernahme eines Wochenplans in dein Protokoll dagegen nicht (Abschnitt 4).

Der Lebensmittelkatalog selbst ist keine Angabe über dich. Beschreibende Merkmale eines Eintrags — etwa, dass ein Lebensmittel in Flüssigkeit aufquillt oder als zusätzliche Ballaststoffquelle angeboten wird, dazu ein nüchterner Handhabungshinweis — beschreiben das Lebensmittel, nicht die Person, die es protokolliert.

3.4 Technische Protokolldaten

Wie jeder Webserver protokolliert unser Server den Abruf selbst. Wir tun das bewusst datensparsam:

Zugriffsprotokoll des Webservers: deine IP-Adresse gekürzt (IPv4 auf die ersten drei Blöcke, IPv6 auf die ersten drei Gruppen), Zeitpunkt, Methode, der aufgerufene Pfad ohne Abfrageparameter und mit maskierter Barcode-Nummer, Statuscode, übertragene Datenmenge und Antwortzeit. Kein vollständiger Pfad, keine Suchbegriffe, keine Browserkennung, keine verweisende Seite.
Anwendungsprotokoll: je Anfrage eine Zeile mit einer zufälligen Anfrage-Kennung, der Methode, dem Routenmuster (also /api/v1/log/:id statt der konkreten Adresse), dem Statuscode, der Antwortzeit und dem gekürzten IP-Netz. Inhalte von Anfragen werden nicht protokolliert, Kopfzeilen nicht, Zugangsdaten ohnehin nicht.
Fehlerprotokolle sowie Zähler für die Tageslimits der KI-Funktionen.

Zweck ist ausschließlich der sichere und störungsfreie Betrieb und die Abwehr von Missbrauch; Rechtsgrundlage ist unser berechtigtes Interesse daran (Art. 6 Abs. 1 lit. f DSGVO). Diese Einträge werden nicht mit deinem Protokoll zusammengeführt und nach 7 Tagen gelöscht.

4. Einwilligung, Widerruf und Rechtsgrundlagen

4.1 Eine Einwilligung für alle Gesundheitsdaten

Für die Daten aus Abschnitt 3.2 holen wir eine einzige, ausdrückliche Einwilligung ein — in der App und im Web-Dashboard jeweils in einem eigenen Dialog, der vorher sagt, worum es geht, und aus dem heraus diese Datenschutzerklärung erreichbar ist.

Du kannst den Dialog auch ablehnen und Nutyra ohne Einwilligung weiterbenutzen. Dann nimmt Nutyra keine neuen Gesundheitsdaten von dir entgegen — was in Abschnitt 4.3 steht, ist gesperrt. Ansehen, Exportieren und Löschen bereits erfasster Daten geht weiterhin, und du kannst die Einwilligung jederzeit nachträglich in den Einstellungen erteilen.

Wir speichern nicht bloß ein Häkchen. Jede Erteilung und jeder Widerruf ist ein eigenes Ereignis mit Zeitpunkt und der Fassung des Einwilligungstextes, dem du zugestimmt hast; nichts davon wird überschrieben. Diese Historie ist Teil deines Datenexports — du kannst also selbst nachsehen, wann du was erteilt oder widerrufen hast.

Wer deine Daten sieht: Andere Nutzerinnen und Nutzer sehen von deinen Gesundheitsdaten nichts — mit einer Ausnahme, die du selbst auslöst: Trittst du einer Community-Challenge bei, sehen die übrigen Mitglieder dieser einen Challenge in der Rangliste deinen Anzeigenamen, deinen Pflanzen-Score und dein Beitrittsdatum (Abschnitt 11) — den Anzeigenamen kannst du selbst wählen, sonst ist es der Anfang deiner E-Mail-Adresse. Der Score wird aus deinem Protokoll berechnet; deshalb hängt auch das an dieser Einwilligung.

4.2 Widerruf

Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, in der App und im Web-Dashboard unter Einstellungen → Datenschutz und Einwilligungen — in der App mit einem Schalter, im Web-Dashboard mit einem Knopf, jeweils mit einer kurzen Rückfrage und ohne Passwort, also so einfach, wie du sie erteilt hast (Art. 7 Abs. 3 DSGVO). Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Was „für die Zukunft" genau heißt: Die App überträgt Einträge nicht immer sofort, etwa wenn dein Gerät gerade offline ist. Einen Eintrag, den du vor deinem Widerruf erfasst oder zuletzt geändert hast, nimmt unser Server deshalb auch dann noch an, wenn er erst nach dem Widerruf ankommt. Maßgeblich ist der Zeitpunkt, den dein Gerät für den Eintrag meldet, verglichen mit dem Zeitpunkt deines Widerrufs in der Einwilligungs-Historie. Was du nach dem Widerruf erfasst, nimmt er nicht mehr an. Der Widerrufsdialog sagt dir vorher, wie viele Einträge noch auf deinem Gerät warten. Widerrufst du im Web-Dashboard, erfährt die App davon, sobald sie wieder in den Vordergrund kommt oder Daten überträgt.

Der Widerruf ist keine Löschung, und er verlangt auch keine. Das sind zwei verschiedene Rechte: Der Widerruf wirkt ab dem Zeitpunkt des Widerrufs, die Löschung ist ein eigener Anspruch aus Art. 17 DSGVO, den du zusätzlich und getrennt geltend machen kannst (Abschnitt 16). Deine bereits erfassten Daten bleiben nach einem Widerruf sichtbar, exportierbar und löschbar.

4.3 Was nach einem Widerruf gesperrt ist

Die Sperre sitzt auf dem Server, nicht nur in der Oberfläche: Ohne gültige Einwilligung nimmt unser Server keine neuen gesundheitsbezogenen Daten mehr an und führt keine Verarbeitung mehr aus, die aus ihnen etwas Neues erzeugt. Gesperrt sind das Anlegen und Ändern von

Protokolleinträgen, Stimmung, Symptomen, Trinkmengen, Tagebuch, Gewicht, Fastenzeiten und Achtsamkeitsübungen,
Zielen,
dem GLP-1-Profil,
der Übernahme eines Wochenplans ins Protokoll,

sowie

jede KI-Funktion (Abschnitt 6): die Erkennung einer Mahlzeit aus Foto oder Diktat, eine Nachricht an den Ernährungscoach, die Neuerzeugung eines Wochenrückblicks — ein bereits gespeicherter Rückblick bleibt lesbar —, der Wochenplan-Vorschlag und das Rezept aus Zutaten,
das Anlegen einer Challenge und der Beitritt zu einer, weil damit ein aus deinem Protokoll berechneter Wert gegenüber anderen offengelegt wird. In einer laufenden Challenge fließt dein Protokoll nach einem Widerruf nicht mehr in die Rangliste ein.

Nie gesperrt sind: alles Lesen, die Statistik, der Zeitraum-Bericht, der Datenexport, jede Einzellöschung, die Löschung des Kontos — und das Melden einer KI-Antwort, weil eine Meldemöglichkeit nicht an einer Einwilligung hängen darf. Ohne Bezug zu deinem tatsächlichen Essverhalten bleiben außerdem eigene Lebensmittel, eigene Gerichte, Favoriten und das Anlegen eines Wochenplans von Hand nutzbar (Abschnitt 3.3). Vorschläge der KI für Wochenplan oder Rezept gehören nicht dazu — sie sind wie alle KI-Funktionen gesperrt (Abschnitt 6).

4.4 Rechtsgrundlagen im Überblick

Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung): sämtliche Gesundheitsdaten nach Abschnitt 3.2 und jede Verarbeitung, die darauf aufbaut — die KI-Funktionen (Abschnitt 6), die Auswertungen (Abschnitt 11a) und die Teilnahme an Challenges (Abschnitt 11).
Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung): Kontoführung, Anmeldung, Synchronisierung zwischen App, Dashboard und Server, Katalog- und Planungsdaten (Abschnitt 3.3), Barcode-Abfrage (Abschnitt 7), Bereitstellung gebuchter Premium-Funktionen.
Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse): Betriebssicherheit, Protokolle nach Abschnitt 3.4, Missbrauchs- und Limit-Erkennung, Abwehr von Angriffen, Prüfung gemeldeter KI-Antworten (einschließlich des Belegs nach Abschnitt 6.2).
Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung): Auskunft an Behörden, soweit wir gesetzlich dazu verpflichtet sind, sowie handels- und steuerrechtliche Aufbewahrungspflichten.

5. Hosting und Auftragsverarbeiter

Mit allen Auftragsverarbeitern besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Eingesetzt werden:

Hosting und Datenbank — IONOS SE: Betrieb unseres Servers und unserer Datenbank, Serverstandort Deutschland. Anschrift siehe Abschnitt 1.
IONOS AI Model Hub — IONOS SE (IONOS AI Model Hub), Rechenzentrum in Deutschland: Ausführung sämtlicher KI-Funktionen, siehe Abschnitt 6.
E-Mail-Versand (SMTP) — IONOS SE (IONOS Mail, SMTP smtp.ionos.de): ausschließlich transaktionale Nachrichten zu Kontovorgängen — Passwort-Zurücksetzen und Bestätigung einer Kontolöschung. Es gibt keinen Newsletter und keine Werbemails.

Zum Zurücksetzen des Passworts versenden wir einen Link mit einem einmaligen, 30 Minuten gültigen Token. Er steht im Klartext in der E-Mail; wer Zugriff auf dein Postfach oder auf den Transportweg hat, könnte damit dein Passwort zurücksetzen. Das ist bei Passwort-Zurücksetzen per E-Mail üblich und technisch kaum anders zu lösen — wir nennen es trotzdem, weil es eine Angriffsfläche ist. Schütze dein E-Mail-Postfach entsprechend.

5a. Verarbeitung außerhalb der EU

Sämtliche Auftragsverarbeiter verarbeiten ausschließlich in Deutschland. Eine Übermittlung deiner Protokoll-, Gesundheits- oder KI-Daten in ein Drittland findet nicht statt.

Davon zu unterscheiden sind Stellen, die als eigene Verantwortliche handeln und ihren Sitz teilweise außerhalb der EU haben: Apple und Google beim In-App-Kauf (Abschnitt 10) und, falls du sie nutzt, bei der Anmeldung per Single-Sign-On (Abschnitt 15). Hinzu kommt die Spracherkennung deines Betriebssystems, wenn du ein Diktat nutzt (Abschnitt 6.1). Beide Unternehmen sind unter dem EU-US Data Privacy Framework zertifiziert; die Übermittlung stützt sich auf den Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 und, soweit du den Kauf oder die Anmeldung selbst veranlasst, zusätzlich auf Art. 49 Abs. 1 lit. b DSGVO. Der Umfang ist in den genannten Abschnitten beschrieben; darüber hinausgehende Daten erhalten sie von uns nicht.

Nicht zu den Auftragsverarbeitern zählt auch die in Abschnitt 7 genannte Stelle (Open Food Facts) — sie handelt eigenverantwortlich, erhält aber keine Daten über dich.

6. KI-gestützte Funktionen

Alle KI-Funktionen von Nutyra laufen über einen einzigen Dienst: den IONOS AI Model Hub mit Rechenzentrum in Deutschland; eingesetzt wird dort das Modell mistralai/Mistral-Small-24B-Instruct. Die Anfragen gehen nie direkt von deinem Gerät dorthin, sondern immer über unseren Server, der die Daten zusammenstellt. Der KI-Dienst wertet die übermittelten Daten aus und speichert sie nicht über die Auftragsverarbeitung hinaus. Ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO besteht; Vertragspartei ist IONOS SE (IONOS AI Model Hub) (Anschrift siehe Abschnitt 1).

Jede Antwort ist in der App und im Dashboard sichtbar als KI-erzeugt gekennzeichnet und trägt zusätzlich eine maschinenlesbare Kennzeichnung mit dem erzeugenden System, dem Modellnamen und dem Zeitpunkt (Art. 50 Abs. 2 der Verordnung (EU) 2024/1689). Sie bleibt an gespeicherten Texten hängen und steht auch in deinem Datenexport.

KI-Funktionen sind ausnahmslos optional, und jede setzt deine Einwilligung nach Abschnitt 4 voraus — auch der Wochenplan-Vorschlag und das Rezept aus Zutaten, die keine Protokolldaten übermitteln: Was du dort als Wunsch oder Hinweis eintippst, kann etwas über deine Gesundheit verraten, und eine Regel für alle KI-Funktionen ist klarer als eine Ausnahmeliste. Ohne Einwilligung startet keine KI-Funktion, und es wird nichts an den KI-Dienst übertragen.

Hinweis vor der ersten Nutzung. Bevor du zum ersten Mal eine KI-Funktion nutzt, zeigt dir Nutyra einmalig einen Hinweis. Er nennt den Empfänger — IONOS SE (IONOS AI Model Hub), Modell Mistral, Rechenzentrum in Deutschland — und sagt, dass alles, was du eintippst, im Wortlaut übertragen wird. Der Hinweis ist keine zweite Einwilligung: Er informiert; Rechtsgrundlage bleibt die Einwilligung nach Abschnitt 4. Was jede Funktion darüber hinaus überträgt, steht hier im Einzelnen:

6.1 Erkennung von Mahlzeiten aus Foto oder Diktat

Übermittelt wird das aufgenommene Foto bzw. der diktierte Text. Das Foto verlässt den Arbeitsspeicher der Anfrage nicht — es wird von uns nicht gespeichert. Gespeichert wird auf unserem Server nur das Ergebnis der Erkennung (erkannte Lebensmittel, Gruppe, Menge) samt deiner Korrekturen — auch dem Wortlaut einer Korrektur, etwa „das ist Dinkelbrot, kein Weißbrot“ —, um das Tageslimit zu zählen und die Erkennungsqualität auszuwerten (Frist siehe Abschnitt 13).

Jedes Erkennungsergebnis lässt sich melden, auch jede Korrekturrunde einzeln. Dafür speichert der Server je Ergebnis einen Beleg, wie er in Abschnitt 6.2 beschrieben ist: Kennung, Art, Hash und Zeitpunkt — 7 Tage, nie der Text.

Zum Diktat im Besonderen: Gesprochenes in Text umzuwandeln übernimmt nicht IONOS, sondern die Spracherkennung deines Betriebssystems. Je nach Gerät, Einstellung und Sprache kann sie die Aufnahme dafür an Apple bzw. Google übertragen; darauf haben wir keinen Einfluss, und wir erfahren davon nichts. Zu uns kommt erst der fertige Text. Wenn du das nicht möchtest, tippe die Mahlzeit ein statt sie zu diktieren, oder schalte die Diktierfunktion in den Systemeinstellungen deines Geräts auf geräteinterne Verarbeitung um, soweit dein Gerät das anbietet.

6.2 Ernährungscoach (Chat)

Übermittelt werden deine Chat-Nachricht im Wortlaut, die letzten acht Gesprächszüge, die deine App mitschickt, ein von unserem Server erstelltes Aggregat deiner Werte der letzten 30 Tage, deine aktiven Ziele und die vier Angaben zu dir, die weiter unten einzeln stehen.

Das Aggregat enthält: Zahl der protokollierten Tage, Zahl verschiedener Lebensmittel und Pflanzen, häufigste und seltenste Lebensmittelgruppen, Durchschnittswerte für Ballaststoffe, Energie, Eiweiß und Wasser sowie deinen durchschnittlichen Stimmungswert. Einzelne Protokolleinträge, einzelne Stimmungseinträge, gespeicherte Symptome, Tagebuchtexte und dein Gewichtsverlauf sind nicht darin enthalten; ebenso wenig deine gespeicherten GLP-1-Angaben (Präparat, Erinnerung, Proteinziel).

Diese vier Angaben zu dir kommen zum Aggregat hinzu:

Deine Körpergröße — nur, wenn die App sie mit der Nachricht schickt. Unser Server speichert sie nicht.
Dein zuletzt eingetragenes Gewicht — nur der jüngste Eintrag, nicht der Verlauf.
Deine BMI-Klasse — eine von vier Stufen (untergewichtig, normalgewichtig, übergewichtig, adipös), keine Zahl. Sie ergibt sich nur, wenn Größe und Gewicht vorliegen. Ist die Klasse „untergewichtig“, ist der Coach angewiesen, nicht zum Abnehmen zu raten und auf Hilfe zu verweisen.
Ob der GLP-1-Begleitmodus eingeschaltet ist — nur „ja“ oder „nein“. Nie das Präparat, der Erinnerungszeitpunkt oder das Proteinziel.

Gewicht, Klasse und GLP-1-Status liest der Server aus dem, was du bei uns gespeichert hast (Abschnitt 3.2); die Größe kommt allein aus der App. Wie jede KI-Funktion setzt auch der Coach deine Einwilligung voraus (Abschnitt 4).

Zwei Punkte, die uns wichtig sind, weil sie leicht anders klingen könnten:

Dein Zielgewicht geht mit. Es ist eines deiner aktiven Ziele, und die Liste der aktiven Ziele ist Teil des Aggregats. Der Gewichtsverlauf ist es nicht; vom Gewicht selbst geht nur der jüngste Eintrag mit (siehe oben).
Was du selbst in den Chat schreibst, geht an das Modell — im Wortlaut. Der Ausschluss von Symptomen, Medikamenten und Tagebuchtexten betrifft das, was wir aus deinem Konto zusammenstellen, nicht das, was du tippst. Schreibst du dem Coach von einem Symptom oder einem Medikament, steht es in der Anfrage an den KI-Dienst. Der Coach ist angewiesen, dazu keine Auskunft zu geben und auf ärztlichen Rat zu verweisen — übertragen wird der Satz trotzdem.

Der Gesprächsverlauf wird nicht auf unserem Server gespeichert; er lebt in der App auf deinem Gerät bzw. im lokalen Speicher deines Browsers (Abschnitt 12). Mit jeder Nachricht schickt der Client die vorangegangenen Gesprächszüge mit; ans Modell gehen die letzten acht, und der Server legt sie nicht ab. Auf dem Server steht je Nachricht nur, dass zu einem Zeitpunkt eine Anfrage stattfand — für das Tageslimit, ohne jeden Inhalt.

Beleg für spätere Meldungen. Zu jeder ausgelieferten Coach-Antwort speichert der Server außerdem eine Kennung, die Art des Inhalts, einen Hash (Prüfsumme) der Antwort und den Zeitpunkt — für 7 Tage, danach wird der Beleg gelöscht. Nie gespeichert werden dabei der Text der Antwort, deine Frage oder das Gespräch. Der Beleg dient allein dazu, dass sich eine Antwort nach Abschnitt 6.6 melden lässt: Wir prüfen damit, dass die gemeldete Antwort aus den letzten sieben Tagen stammt, dir gehört und so gemeldet wird, wie sie angezeigt wurde. Genauso belegen wir Rezept (6.5), Wochenplan-Vorschlag (6.4) und Erkennung (6.1); nur der Wochenrückblick (6.3) weicht ab. Rechtsgrundlage ist unser berechtigtes Interesse an der Prüfung gemeldeter KI-Antworten (Art. 6 Abs. 1 lit. f DSGVO). Die Belege stehen in deinem Datenexport.

6.3 KI-Wochenrückblick (Premium)

Übermittelt werden ausschließlich Durchschnitts- und Summenwerte der laufenden und der vorangegangenen Woche sowie beschreibende Vergleiche daraus, einschließlich deines durchschnittlichen Stimmungswerts. Nicht übermittelt werden einzelne Protokolleinträge, Symptomdaten, GLP-1-Angaben, Tagebuchtexte, Gewichtsverlauf oder Identifikatoren.

Anders als beim Coach wird der erzeugte Text auf unserem Server gespeichert — je Kalenderwoche einer, damit du ihn später wieder aufrufen kannst. Er wird nicht automatisch gelöscht und bleibt auch dann lesbar, wenn dein Premium-Abo endet. Du kannst ihn einzeln löschen, auch ohne laufendes Premium-Abo; ein späterer Abruf derselben Woche erzeugt dann einen neuen Text. Spätestens verschwindet er mit deinem Konto. Für das Tageslimit wird zusätzlich vermerkt, wann eine Erzeugung stattfand (Frist siehe Abschnitt 13).

Auch ein Wochenrückblick lässt sich melden. Einen eigenen Beleg brauchen wir dafür nicht: Der gespeicherte Text ist der Beleg, und der Rückblick bleibt meldbar, solange er gespeichert ist. Wird er neu erzeugt, speichert der Server von der ersetzten Fassung einen Hash (Kennung, Art, Hash, Zeitpunkt, nie den Text) für 7 Tage, damit sie noch gemeldet werden kann. Löschst du den Rückblick, verschwinden auch diese Belege.

6.4 KI-Wochenplan-Vorschlag (Premium)

Übermittelt werden die Namen deiner eigenen Gerichte samt ihrer Zutatennamen, ein Ausschnitt aus dem öffentlichen Lebensmittelkatalog, dein Pflanzenziel und der Wunschtext, den du selbst eingibst. Ausdrücklich nicht übermittelt werden Protokolleinträge, Stimmung, Symptome, GLP-1-Angaben, Gewicht, Tagebuchtexte, Fastenzeiten sowie E-Mail-Adresse, Name oder Konto-ID. Auf dem Server wird zu dieser Funktion nur Zeitpunkt und Konto für das Tageslimit vermerkt — weder der Wunschtext noch der erzeugte Vorschlag. Der Vorschlag lässt sich melden; dafür speichert der Server einen Beleg wie in Abschnitt 6.2 (Kennung, Art, Hash, Zeitpunkt — 7 Tage, nie der Text).

6.5 KI-Rezept aus Zutaten (Premium)

Übermittelt werden ausschließlich die von dir eingetippten Zutaten und ein optionaler Hinweis (z. B. „vegetarisch“). Das ist die knappste Datengrundlage aller KI-Funktionen: kein Protokoll, keine Ziele, keine eigenen Gerichte, keine Kontokennung. Auch hier wird auf dem Server nur Zeitpunkt und Konto für das Tageslimit vermerkt — weder Zutaten noch Rezept. Das Rezept lässt sich melden; dafür speichert der Server einen Beleg wie in Abschnitt 6.2 (Kennung, Art, Hash, Zeitpunkt — 7 Tage, nie der Text).

6.6 Meldung einer fehlerhaften KI-Antwort

An jedem KI-Inhalt kannst du melden, dass er fehlerhaft oder unangemessen ist — an einer Coach-Antwort, einem Wochenrückblick, einem Rezept, einem Wochenplan-Vorschlag und einer Erkennung — ohne Premium-Abo, ohne Wartezeit und unabhängig davon, ob deine Einwilligung gerade gilt. Dabei werden genau dieser eine Inhalt (bei Coach, Rezept, Plan und Erkennung zusammen mit deiner Frage bzw. deiner Eingabe, soweit die App sie mitschickt) zusammen mit dem von dir gewählten Grund, einem optionalen Kommentar und der Art des Inhalts (Coach, Wochenrückblick, Rezept, Wochenplan-Vorschlag oder Erkennung) an uns übertragen und gespeichert; der Dialog nennt das vorher wörtlich und nennt die Art. Das ist die einzige Ausnahme von „der Server speichert kein Coach-Gespräch“; sie gilt ebenso für Rezept, Plan-Vorschlag und Erkennung, die wir sonst nicht speichern. Rechtsgrundlage ist deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO) durch das Absenden der Meldung sowie unser berechtigtes Interesse an der Qualitätssicherung und der Erfüllung der Vorgaben zu KI-Transparenz (Art. 6 Abs. 1 lit. f DSGVO).

Die gemeldete Art erscheint in der Liste deiner Meldungen und in deinem Datenexport. Meldungen existieren, damit ein Mensch sie ansieht. Danach brauchen wir sie nicht mehr: Eine Meldung wird 30 Tage nach ihrer Bearbeitung automatisch gelöscht und in jedem Fall spätestens sechs Monate (180 Tage) nach Eingang — auch dann, wenn wir sie bis dahin nicht bearbeitet haben. Die 30 Tage lassen Raum für eine Rückfrage zu deiner Meldung. Früher geht es, wenn du sie selbst löschst: Du kannst dir deine Meldungen jederzeit anzeigen lassen und jede einzeln löschen; mit deinem Konto gehen alle. Meldungen sind Teil deines Datenexports, samt dem Zeitpunkt ihrer Bearbeitung.

7. Barcode-Abfrage bei Open Food Facts

Scannst du einen Barcode, den unser eigener Lebensmittelkatalog nicht kennt, fragt unser Server die freie Produktdatenbank Open Food Facts (Open Food Facts, Frankreich) danach. Open Food Facts ist kein Auftragsverarbeiter, sondern eine eigenständige Stelle außerhalb unserer Verarbeiterkette; ihre Datenschutzerklärung findest du unter world.openfoodfacts.org/legal .

Übermittelt wird ausschließlich die Barcode-Nummer des gescannten Produkts sowie die Angabe, welche Produktfelder wir auslesen möchten (Produktname, Marke, Nährwerte, Kategorien).
Nicht übermittelt werden deine Konto-ID, deine E-Mail-Adresse, dein Gerät oder irgendein anderes Merkmal, das dich identifiziert. Es werden keine Cookies gesetzt.
Weil die Anfrage von unserem Server ausgeht und nicht von deinem Gerät, erfährt Open Food Facts deine IP-Adresse nicht — sichtbar ist dort nur die Adresse unseres Servers.
Ein Rückschluss auf eine Person ist damit für Open Food Facts nicht möglich; erkennbar ist lediglich, dass irgendjemand über Nutyra ein bestimmtes Produkt nachgeschlagen hat.

Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO) — ohne diese Abfrage könnte der Barcode-Scan unbekannte Produkte nicht auflösen.

8. Anbindung an Apple Health und Google Health Connect

Du kannst Nutyra in den Einstellungen optional mit Apple Health (iOS) bzw. Google Health Connect (Android) verbinden. Die Funktion ist standardmäßig aus, wird ausschließlich auf deinem Gerät ausgeführt und lässt sich jederzeit wieder abschalten. Zusätzlich zu unserer Abfrage musst du die Berechtigung im Betriebssystem erteilen. Genutzt werden genau vier Datentypen:

Wasseraufnahme — schreibend. Von dir erfasste Trinkmengen werden nach Health gespiegelt.
Gewicht — schreibend. Von dir erfasste Gewichtswerte werden nach Health gespiegelt.
Schritte — nur lesend. Als Zusatzangabe in der Statistik. Nutyra schreibt niemals Schritte.
Schlaf — nur lesend. Für die Zusammenhänge-Karte. Nutyra schreibt niemals Schlafdaten.

Auf Android setzt der Zugriff auf Schrittzahlen zusätzlich die Systemberechtigung Körperliche Aktivität (ACTIVITY_RECOGNITION) voraus; sie wird zusammen mit der Health-Anbindung angefragt und ausschließlich dafür verwendet. Die Berechtigungen werden derzeit gemeinsam angefragt — wer nur die Wasseraufnahme spiegeln möchte, erteilt damit auch das Leserecht für Schlaf und Schritte. Du kannst jede Berechtigung in den Systemeinstellungen einzeln wieder entziehen.

Schlafdaten verlassen dein Gerät nie. Sie werden weder an unseren Server übertragen noch synchronisiert; es gibt dafür bewusst kein Gegenstück auf dem Server und im Web-Dashboard. Die Schlaf-Auswertung wird vollständig auf dem Gerät berechnet. Dasselbe gilt für die gelesenen Schrittzahlen. Die Konfiguration der Health-Anbindung liegt im gesicherten Speicher des Geräts und wird ebenfalls nicht synchronisiert.

Die aus Health gelesenen Werte sind für uns immer nur ein Spiegel und nie die Grundlage einer Berechnung auf unserem Server. Hebst du die Berechtigung im Betriebssystem auf, endet der Zugriff sofort. Auf iOS kann eine App ihre Health-Berechtigungen technisch nicht selbst zurücknehmen — der Widerruf erfolgt dort in den Systemeinstellungen unter Datenschutz & Sicherheit → Health; die App weist beim Abschalten darauf hin.

9. Erinnerungen und Benachrichtigungen

Alle Erinnerungen (Abendessen, Wasser, Achtsamkeit, Fasten-Zielzeit, GLP-1-Begleitmodus) sind lokale Benachrichtigungen, die dein Gerät selbst plant und auslöst. Es gibt keinen Server-Push und keinen Push-Dienst eines Dritten; wir erfahren nicht, ob und wann eine Erinnerung angezeigt wurde. Eine Erinnerung erscheint nur, wenn du Mitteilungen für Nutyra in den Einstellungen deines Geräts erlaubst.

Abendessen, Wasser, Achtsamkeit, Fasten-Zielzeit: standardmäßig aus und einzeln umschaltbar. Ihre Einstellungen liegen im gesicherten Speicher des Geräts und werden nicht synchronisiert.
GLP-1-Begleitmodus: Die Erinnerung gehört zum Modus — wer ihn einschaltet, legt Rhythmus, Wochentag und Uhrzeit fest. Diese Angaben speichern wir als Teil deines GLP-1-Profils auf unserem Server (Abschnitt 3.2) und gleichen sie zwischen deinen Geräten ab, damit die Erinnerung auf jedem angemeldeten Gerät zur selben Zeit geplant wird. Sie stehen in deinem Datenexport und werden gelöscht, wenn du den Begleitmodus verlässt oder dein Konto löschst. Die Benachrichtigung selbst nennt weder deine Bezeichnung noch einen Anlass.

10. In-App-Kauf des Premium-Abos

Das optionale Premium-Abo wird ausschließlich über den App Store (Apple) bzw. Google Play (Google) abgeschlossen. Der jeweilige Store ist Vertragspartner der Zahlungsabwicklung und eigenständig Verantwortlicher für die dabei anfallenden Daten (Zahlungsmittel, Rechnungsadresse, Kaufhistorie, Store-Konto). Es gelten die Datenschutzbestimmungen von Apple bzw. Google.

Wir sehen keine Zahlungsdaten. Weder Kreditkarten- oder Kontodaten noch Rechnungsadresse oder Klarname erreichen uns.
An unseren Server geht ausschließlich der Kaufnachweis des Stores (bei Apple die Store-Transaktion, bei Google der Kauf-Token samt Produkt-ID). Unser Server prüft diesen Nachweis beim jeweiligen Store — Premium entsteht nie durch eine Behauptung der App. Dabei wird der Kaufnachweis an Apple bzw. Google übermittelt (Abschnitt 5a).
Gespeichert wird dauerhaft nur, bis wann dein Abo läuft. Eine Kauf-Historie führen wir nicht; Belege, Rückerstattungen und Umsätze liegen beim Store.

Ein Abo kaufst und kündigst du beim Store, nicht bei uns; das Löschen deines Nutyra-Kontos beendet es nicht (Abschnitt 13). Solange der Kauf noch nicht freigeschaltet ist, findet diese Prüfung nicht statt und es wird nichts an Apple oder Google übermittelt. Rechtsgrundlage ist die Erfüllung des Vertrags über die Premium-Funktionen (Art. 6 Abs. 1 lit. b DSGVO).

11. Community-Challenges und Rangliste (Leaderboard)

Trittst du freiwillig einer Community-Challenge bei — das geht ausschließlich über einen Einladungscode, ein öffentliches Durchsuchen bestehender Challenges gibt es nicht —, sehen die übrigen Mitglieder dieser einen Challenge deinen Anzeigenamen, deinen Pflanzen-Score und dein Beitrittsdatum in der gemeinsamen Rangliste. Es werden keine Lebensmittelnamen, Protokolleinträge, Stimmungs-, Gewichts- oder Symptomdaten weitergegeben: Der Pflanzen-Score wird ausschließlich serverseitig aus deinen Einträgen berechnet, rohe Log-Zeilen verlassen dafür nie den Server. Verlässt du die Challenge, verschwindet deine Zeile aus der Rangliste der verbleibenden Mitglieder.

Dein Anzeigename. Beim Anlegen oder Beitreten kannst du einen eigenen Namen wählen. Wählst du keinen, verwendet Nutyra den Teil deiner E-Mail-Adresse vor dem @-Zeichen (höchstens 20 Zeichen) — und genau der ist dann für die übrigen Mitglieder dieser Challenge sichtbar. Wenn du das nicht möchtest, gib einen eigenen Namen an. Mitgliedschaften, die es schon gab, behalten den Namen, den sie haben.

Weil der Score aus deinem Ernährungsprotokoll stammt, hängt diese Offenlegung an deiner Einwilligung (Abschnitt 4). Widerrufst du sie, fließt dein Protokoll ab diesem Zeitpunkt nicht mehr in die Rangliste ein.

11a. Auswertungen und Zusammenhänge

Aus deinen Einträgen berechnen wir Auswertungen: Tages- und Wochenwerte, deine Pflanzenvielfalt und eine Karte „Zusammenhänge“. Diese Karte vergleicht Tage, an denen du mehr Pflanzenvielfalt, mehr Ballaststoffe oder mehr Wasser protokolliert hast, mit den übrigen Tagen — und stellt daneben, wie deine Stimmung an diesen Tagen im Durchschnitt war. Zusätzlich vergleichen wir für die drei von dir am häufigsten erfassten Symptome, wie die Stimmung an Tagen mit und ohne dieses Symptom ausfiel.

Das ist eine rein beschreibende Gegenüberstellung, keine medizinische Aussage und kein Nachweis einer Ursache. Es findet keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO statt: Die Karte zeigt dir eine Beobachtung, sie trifft keine Entscheidung über dich und wird an niemanden übermittelt — auch nicht an den KI-Dienst. Wir zeigen einen Vergleich erst ab 14 erfassten Tagen an, bei Symptomen ab fünf Tagen je Gruppe; darunter wäre die Zahl irreführend. Rechtsgrundlage ist deine Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Schlaf- und Schrittdaten aus Apple Health bzw. Health Connect fließen ausschließlich auf deinem Gerät in diese Karte ein (Abschnitt 8).

12. Cookies und lokale Speicherung

12.1 Diese Website

Diese Website setzt keine Cookies und keine Tracking- oder Analyse-Tools ein. Sie lädt keinerlei Inhalte von fremden Servern — keine Schriftarten, keine Skripte, keine eingebetteten Videos. Ein Cookie-Banner ist deshalb nicht erforderlich.

Der Abruf selbst wird protokolliert wie in Abschnitt 3.4 beschrieben: gekürzte IP-Adresse, Zeitpunkt, Pfad ohne Abfrageparameter, Statuscode, Datenmenge, Antwortzeit — ohne Browserkennung und ohne verweisende Seite, gelöscht nach 7 Tagen.

12.2 Web-Dashboard (Anmeldebereich)

Das Web-Dashboard ist ein anderer Fall: Ohne Cookies kann es dich nicht angemeldet halten. Alle gesetzten Cookies sind technisch notwendig (Art. 6 Abs. 1 lit. b DSGVO, § 25 Abs. 2 Nr. 2 TDDDG) — es gibt keine Marketing- oder Analyse-Cookies:

nl_at, nl_rt — deine Sitzungs- und Erneuerungs-Token. Sie sind httpOnly, also für JavaScript im Browser nicht lesbar.
nl_email — die E-Mail-Adresse des angemeldeten Kontos zur Anzeige in der Oberfläche, ebenfalls httpOnly.
nl_uid — eine Kennung deines Kontos. Als einziges Cookie ist es für Skripte der Seite lesbar, und zwar aus einem Datenschutzgrund: Es trennt die unten genannten lokalen Ablagen nach Konto, damit auf einem geteilten Rechner ein zweites Konto niemals die Daten des ersten sieht.

Zusätzlich legt das Dashboard fünf Angaben im lokalen Speicher deines Browsers (localStorage) ab. Diese Daten bleiben auf deinem Gerät und erreichen unseren Server nicht:

Coach-Verlauf — damit dein Gespräch nach einem Seitenwechsel noch da ist. Auf dem Server wird er nicht gespeichert (Abschnitt 6.2).
Bestätigter KI-Hinweis — ob du den Hinweis vor der ersten KI-Nutzung (Coach, Rezept, Wochenplan) schon gelesen hast, damit er nicht jedes Mal erscheint.
Abgelehnte Einwilligung — ob du den Einwilligungs-Dialog weggeklickt hast, damit er dich nicht bei jedem Seitenaufruf erneut fragt.
Häkchen der Einkaufsliste — welche Positionen du bereits erledigt hast.
Themenwahl (hell/dunkel/System) — eine reine Geräteeinstellung.

Die ersten vier liegen jeweils im Namensraum deines Kontos und werden beim Abmelden vollständig entfernt. Die Themenwahl bleibt bewusst erhalten — sie gehört zum Gerät, nicht zum Konto. Ältere, kontoübergreifende Einträge aus früheren Versionen werden beim ersten Zugriff gelöscht statt übernommen.

12.3 App

Die App führt eine vollständige Datenbank auf deinem Gerät, damit sie offline funktioniert, und gleicht sie mit deinem Konto ab. Endet deine Sitzung, löscht die App immer die gespeicherte Anmeldung (die Zugangsschlüssel zu deinem Konto). Was mit den übrigen Daten auf dem Gerät geschieht, hängt davon ab, wie die Sitzung endet:

Du meldest dich ab: Die App löscht die Daten auf dem Gerät. Gibt es noch Einträge, die nicht übertragen oder vom Server abgewiesen wurden (etwa weil deine Einwilligung fehlt), fragt sie vorher nach — diese Einträge gäbe es danach nirgends mehr.
Du löschst dein Konto: Die App löscht die Daten auf dem Gerät, ohne weitere Rückfrage.
Der Server beendet die Sitzung (etwa weil die Anmeldung abgelaufen ist, aus Sicherheitsgründen widerrufen oder das Konto auf einem anderen Gerät gelöscht wurde — die App kann diese Fälle nicht unterscheiden): Liegt nichts Ungesichertes auf dem Gerät, löscht die App die Daten. Gibt es noch nicht übertragene oder vom Server abgewiesene Einträge, bleiben die Daten auf dem Gerät, bis sich wieder jemand anmeldet: Meldet sich dasselbe Konto an, sind sie wieder da und die Einträge werden übertragen; meldet sich ein anderes Konto an, löscht die App vorher alles.

Gelöscht werden dabei die lokale Datenbank (Protokoll, Coach-Verlauf und alles Übrige, was die App offline vorhält), die Mahlzeiten-Fotos, die Einstellungen der App im sicheren Speicher des Geräts (etwa geräte-lokale Einwilligungen, Erinnerungen, Health-Einstellungen), gespeicherte Berichte und Datenexporte samt der Kopien, die zum Teilen angelegt wurden, und alle geplanten Benachrichtigungen. Nicht erfasst sind Kopien, die die Bildauswahl des Betriebssystems beim Aufnehmen oder Auswählen eines Fotos in dessen temporärem Ordner anlegt — sie löscht die App derzeit nicht selbst. Die App-Sperre (PIN) bleibt bewusst bestehen — sie schützt das Gerät, nicht das Konto.

13. Speicherdauer und Löschfristen

Deine eigentlichen Inhalte — Protokoll, Gewicht, Stimmung, Tagebuch, Ziele — werden nicht automatisch gelöscht. Was du selbst erfasst hast, löschst nur du selbst: einzeln in der App und im Dashboard oder vollständig durch Löschen des Kontos.

Was beim Löschen eines einzelnen Eintrags passiert: Der Eintrag wird sofort und vollständig aus der Datenbank entfernt — Text, Wert, Datum, alles. Zurück bleibt ein inhaltsloser Löschvermerk: die Kennung des Eintrags, die Art des Eintrags und der Zeitpunkt der Löschung, damit deine anderen Geräte beim nächsten Abgleich erfahren, dass es ihn nicht mehr gibt. Der Vermerk selbst verschwindet 180 Tage nach der Löschung. Er enthält nichts von dem, was im Eintrag stand, und er steht in deinem Datenexport.

Beim Löschen des Kontos wird alles entfernt, was zu ihm gehört — Protokolldaten, Ziele, eigene Lebensmittel und Gerichte, gespeicherte Wochenrückblicke, gemeldete KI-Antworten, die Einwilligungs-Historie und die Löschvermerke. Es gibt keine Karenzfrist und keine stille Weiterführung. Challenges, die du angelegt hast, werden an das älteste verbleibende Mitglied übergeben, statt mit deinem Konto zu verschwinden.

Ein Premium-Abo endet mit dem Konto nicht. Es ist ein Vertrag mit dem App Store bzw. mit Google Play, und wir können ihn nicht für dich kündigen. Ohne Kündigung läuft es dort weiter und wird weiter abgerechnet — auch wenn es dein Nutyra-Konto nicht mehr gibt. Kündige es deshalb vor dem Löschen in den Abo-Einstellungen deines Store-Kontos (den Weg nennen die Nutzungsbedingungen in Abschnitt 3.3).

Für technische Nebenprotokolle gelten feste Fristen. Ein Aufräum-Lauf prüft sie alle sechs Stunden:

Anmelde-Token (Refresh-Token): 7 Tage nach Ablauf des Tokens. Die Frist ist nicht null, damit die Wiederverwendung eines gestohlenen Tokens noch nachvollziehbar bleibt.
Passwort-Zurücksetzen-Token: 24 Stunden, nachdem sie eingelöst oder abgelaufen sind.
Coach-Anfragen (nur Konto und Zeitpunkt, kein Inhalt): 90 Tage.
Beleg zu einer Coach-Antwort, einem Rezept, einem Wochenplan-Vorschlag oder einer Erkennung (Kennung, Art, Hash, Zeitpunkt — nie der Text): 7 Tage (Abschnitt 6.2). Ebenso der Beleg einer durch Neuerzeugung ersetzten Fassung eines Wochenrückblicks; der aktuelle Rückblick ist sein eigener Beleg und bleibt meldbar, solange er gespeichert ist (Abschnitt 6.3). Löschst du den Rückblick, gehen auch die Belege seiner ersetzten Fassungen.
Ergebnisse der KI-Erkennung aus Foto/Diktat (erkannte Lebensmittel samt Korrekturen — nie das Foto): 90 Tage.
Wochenrückblick-Aufrufe (nur Konto und Zeitpunkt, kein Inhalt): 30 Tage. Der Rückblickstext selbst ist Inhalt und bleibt, bis du ihn oder dein Konto löschst.
Wochenplan-Vorschläge (nur Konto und Zeitpunkt, kein Inhalt): 30 Tage.
Rezept-Vorschläge (nur Konto und Zeitpunkt, kein Inhalt): 30 Tage.
Löschvermerke des Geräte-Abgleichs (ohne Inhalt): 180 Tage nach der Löschung.
Gemeldete KI-Inhalte: 30 Tage nach der Bearbeitung, spätestens 180 Tage nach Eingang — auch unbearbeitet. Selbst löschen kannst du sie jederzeit (Abschnitt 6.6).
Technische Protokolle (Abschnitt 3.4): 7 Tage.

Kurzlebige Zwischenspeicher im Arbeitsspeicher des Servers laufen unabhängig davon ab: die Rangliste einer Challenge nach spätestens fünf Minuten, Zähler der Anfragebegrenzung nach spätestens 15 Minuten, der Vermerk über einen erfolglos gesuchten Barcode nach 24 Stunden. Sie überleben keinen Neustart.

14. Weitergabe an Dritte

Eine Weitergabe deiner Ernährungs-, Stimmungs- oder Gewichtsdaten an Dritte zu Werbe- oder Analysezwecken findet nicht statt. Wir verkaufen keine Daten. Eine Übermittlung erfolgt ausschließlich

an die in Abschnitt 5 genannten Auftragsverarbeiter, soweit für den Betrieb erforderlich,
an Open Food Facts im in Abschnitt 7 beschriebenen, auf die Barcode-Nummer begrenzten Umfang,
an Apple bzw. Google im in Abschnitt 10 beschriebenen Umfang bei einem In-App-Kauf,
an den Anbieter deiner Spracherkennung, wenn du diktierst (Abschnitt 6.1),
an die übrigen Mitglieder einer Challenge, der du selbst beigetreten bist (Abschnitt 11),
an Behörden, sofern wir gesetzlich dazu verpflichtet sind.

15. Anmeldung per Google oder Apple (SSO)

Optional kannst du dich über Single-Sign-On-Dienste (Google, Apple) anmelden. Wenn du diesen Weg wählst, findet die Anmeldung unmittelbar beim jeweiligen Anbieter statt — Google Ireland Limited bzw. Apple Distribution International Ltd., jeweils mit Konzernstrukturen in den USA (Abschnitt 5a).

An uns übermittelt werden ausschließlich eine stabile Nutzerkennung des Anbieters, deine E-Mail-Adresse und die Angabe, ob der Anbieter sie bestätigt hat. Namen, Profilbilder oder Kontaktdaten übernehmen wir nicht. Bei der ersten Anmeldung über diesen Weg fragen wir — wie bei jeder Registrierung — dein Geburtsjahr ab und halten fest, dass du den Nutzungsbedingungen zugestimmt hast (Abschnitt 3.1). Die Nutzung ist freiwillig; eine Registrierung mit E-Mail-Adresse und Passwort ist jederzeit möglich. Es gelten zusätzlich die Datenschutzbestimmungen des jeweiligen Anbieters.

16. Deine Rechte

Du hast das Recht auf:

Auskunft über die zu dir gespeicherten Daten (Art. 15 DSGVO)
Berichtigung unrichtiger Daten (Art. 16 DSGVO)
Löschung deiner Daten (Art. 17 DSGVO)
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO) — wie das geht, steht in Abschnitt 4.2
Beschwerde bei einer Datenschutzaufsichtsbehörde (Art. 77 DSGVO) — die für uns zuständige Behörde nennt Abschnitt 1

Auskunft und Übertragbarkeit kannst du selbst und sofort ausüben: Der Datenexport in der App und im Dashboard enthält deine Protokoll- und Kontodaten, die gespeicherten Wochenrückblicke, die von dir gemeldeten KI-Inhalte samt ihrer Art, die Belege zu KI-Antworten der letzten sieben Tage (Kennung, Art, Hash, Zeitpunkt), deine Einwilligungs-Historie und die inhaltslosen Löschvermerke — jeweils mit einer Erläuterung, was in der Sektion steht. Auch die Löschung des Kontos liegt in deiner Hand. Technische Protokolle (Abschnitt 3.4) sind nicht Teil des Exports, weil sie sich keinem Konto zuordnen lassen und nach 7 Tagen entfallen. Für alles Weitere erreichst du uns unter der in Abschnitt 1 genannten Adresse.

17. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen ein, um deine Daten vor Verlust, Missbrauch und unbefugtem Zugriff zu schützen, unter anderem:

ausschließlich verschlüsselte Übertragung (HTTPS/TLS, ohne Rückfall auf unverschlüsselte Verbindungen),
Speicherung von Passwörtern nur als Hash mit einem dafür vorgesehenen Verfahren,
Anmelde-Token nur als Hash, mit Rotation und Erkennung der Wiederverwendung,
Ablage von Zugangsdaten auf dem Gerät im gesicherten Speicher des Betriebssystems,
eine optionale App-Sperre per PIN oder Biometrie,
Begrenzung der Anfragen je Konto und Netz gegen automatisierte Angriffe.

Die lokale Datenbank der App liegt im geschützten Bereich der App auf deinem Gerät und ist durch die Verschlüsselung des Betriebssystems geschützt, nicht durch eine zusätzliche eigene Verschlüsselung. Wer Zugriff auf ein entsperrtes Gerät hat, kann die App öffnen — die App-Sperre ist deshalb bei Gesundheitsdaten eine sinnvolle Ergänzung.

18. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, sobald Änderungen an der Datenverarbeitung dies erforderlich machen. Es gilt jeweils die auf dieser Seite veröffentlichte Fassung; das Datum oben nennt den Stand.